一句话看懂：有攻击者利用 Google Sites 搭建了伪装成 OpenAI Codex 官方下载页的钓鱼网站，并通过被盗的 Google Ads 账号投放广告，诱导 macOS 用户在终端中粘贴恶意命令，最终植入 AMOS 信息窃取木马，窃取浏览器密码和加密货币钱包信息。
事件核心：发生了什么
根据安全研究机构 CATO CTRL 披露的信息，这场攻击的链路相当完整：攻击者先在 Google Sites 上创建了一个外观与 OpenAI Codex 下载页面高度相似的网站，随后利用盗取的高信誉 Google Ads 账号投放广告，让该页面出现在用户搜索“codex macos download”时的顶部位置。
这个虚假页面本身并不包含恶意代码或直接下载链接，而是通过 iFrame 嵌入外部托管内容，以此规避 Google 的安全扫描。当 macOS 用户点击下载按钮后，页面会引导他们打开 macOS 终端并粘贴执行一段命令。安全团队指出，这种攻击方式并非传统的 ClickFix 套路——ClickFix 通常先伪造系统故障再诱导用户“修复”，而此次攻击利用的是 AI 开发者的使用习惯：许多 AI 编程工具（包括 OpenAI 的 Codex CLI）本就需要通过终端安装运行，这让“粘贴命令”这一操作显得合理且可信。
值得注意的是，该页面同时提供了 Windows 和 Mac 两个下载按钮，但 Windows 按钮是无效的诱饵，只有 Mac 端的恶意载荷会执行。攻击的最终目标是部署 AMOS——一种已知的 macOS 信息窃取木马，能够抓取浏览器存储的登录凭据、加密货币钱包数据及其他敏感信息。
为什么重要
这起事件的价值在于它揭示了 AI 工具分发环节中一个真实存在的信任缺口。OpenAI Codex 作为面向开发者的 AI 编码代理，其官方安装方式本身就依赖命令行工具，这使得“在终端里运行一条命令”不再是一个值得警惕的信号，反而成了攻击者模仿的合法行为模式。攻击者的手法并非突破性的技术漏洞，而是精准利用了 AI 开发者群体的操作习惯。
同时，攻击者滥用 Google Sites 和 Google Ads 这两个高信任度平台，说明现有的广告审核机制在面对“站点本身无恶意代码、恶意内容通过 iFrame 外置”这类绕行策略时，仍存在可被利用的空间。对于任何依赖在线广告触达用户的 AI 工具开发商而言，这类攻击不仅损害用户安全，也在消耗品牌信任。
对用户/开发者/创作者的影响
对 macOS 用户尤其是 AI 开发者来说，这次事件的直接教训是：安装任何 AI 工具前，应确认官方安装路径，不轻信搜索结果顶部的广告位链接。开发者在终端中执行未知来源命令前，也应先审阅命令内容，判断其是否与官方文档中的安装指令一致。
AI 工具推荐
想把多个 AI 模型放在一个入口？
GamsGo AI 集成 ChatGPT、DeepSeek、Gemini、Claude、Midjourney、Veo 等常用模型，适合写作、绘图、视频和日常 AI 工作流。
推广链接：通过此链接购买，我可能获得佣金，不影响你的价格。
对于 AI 产品团队，此事件也提供了安全提示：当产品的安装流程涉及终端操作或命令行时，官方文档和下载页面的可辨识度需要提升，并应考虑提供校验机制（如 checksum 或签名验证），帮助用户区分官方渠道与仿冒页面。此外，使用 Google Ads 进行产品推广的团队应关注账号安全防护，避免因账号被盗成为攻击链中的一环。
值得关注的后续
目前公开信息显示，该攻击主要面向 macOS 用户，且依赖 Google 广告网络触达目标人群。接下来值得观察的方向有三点：一是 Google 是否会针对 iFrame 外置内容的 Google Sites 页面加强审核，以及是否会对被盗广告账号的异常投放模式增加检测；二是 OpenAI 是否会主动打击仿冒 Codex 下载页面的站点，并在官方渠道提供更明确的安装验证指引；三是 CATO CTRL 披露的攻击模式是否会扩散到其他 AI 编码工具（如 Claude Code、Cursor 等）的下载渠道，形成更广泛的仿冒攻击面。
来源：TechRadar
